Die ITGix AWS Landing Zone entwickelt sich weiter mit einem klaren Ziel: Unternehmen sollen in die Lage versetzt werden, sichere, konforme und skalierbare AWS-Umgebungen mit geringerem Betriebsaufwand aufzubauen.
In den jüngsten Versionen (v1.2.0 bis v1.6.0) haben wir wesentliche Verbesserungen in den Bereichen Sicherheit, Compliance, CI/CD-Automatisierung, Netzwerk, Observability und betriebliche Effizienz eingeführt. Diese Updates richten sich an Teams, die AWS-Architekturen mit mehreren Konten verwalten und eine strenge Governance benötigen , ohne dabei auf Flexibilität verzichten zu müssen.
In diesem Beitrag stellen wir die wichtigsten Neuerungen vor und erläutern, wie sie den Arbeitsalltag von Cloud- und Plattform-Teams verbessern.
CI/CD-Pipelines für Änderungen an der AWS Landing Zone
Eine der am häufigsten nachgefragten Funktionen ist nun verfügbar: automatisierte CI/CD-Pipelines für die Landing Zone selbst.
Basierend auf AWS CodePipeline und CodeBuild ermöglicht das neue Pipeline-Modul Infrastruktur-Bereitstellungen über mehrere AWS-Konten hinweg direkt aus einem Versionskontroll-Repository unter Verwendung von AWS CodeConnections.
Um sichere und zuverlässige Bereitstellungen zu gewährleisten, umfasst die Pipeline mehrere Mechanismen zur Absicherung:
- Überprüfung der Planintegrität mittels SHA-256-Prüfsumme
- Überprüfung der SHA-Übereinstimmung zwischen der Planungs- und der Ausführungsphase
- Überprüfung des Kontos und der Region
- Verfolgung von Planmetadaten anhand von Build-IDs und Zeitstempeln
- TTL-Durchsetzung für die Gültigkeit des Plans (Standard: 30 Minuten)
- Strenge Überprüfung des Vorhandenseins von Artefakten – in den Anwendungsphasen werden ausschließlich genehmigte Planungsdateien verwendet, ohne dass eine Neuplanung erforderlich ist
Damit wird die gleiche Sorgfalt, die Teams von der CI/CD-Integration bei Anwendungen erwarten, auch auf das Lebenszyklusmanagement der Infrastruktur übertragen.
Verstärkte Sicherheits- und Compliance-Kontrollen
Sicherheit steht bei jeder neuen Version der ITGix AWS Landing Zone weiterhin im Mittelpunkt.
Unterstützung für PCI DSS v4.0.1
Die SecurityHub-Scans wurden um die Unterstützung für PCI DSS v4.0.1 erweitert, wodurch die bestehenden NIST- und CIS-Benchmark-Prüfungen ergänzt werden. In Verbindung mit der gezielten Behebung der festgestellten Mängel wird dadurch die standardmäßige Compliance-Situation erheblich gestärkt.
AWS Config-Integration
AWS Config ist nun für alle Konten aktiviert und erfasst automatisch Konfigurationsdaten sowie den historischen Status in S3. Konformitätspakete lassen sich schnell aktivieren, um die Konformität mit verschiedenen Sicherheitsstandards zu überprüfen.
IAM und Zugriffssicherung
Es wurden mehrere unternehmensweite Verbesserungen beim Zugriff umgesetzt:
- Strengere IAM-Passwortrichtlinien, die mit PCI DSS 4.0.1 im Einklang stehen
- Verhinderung des öffentlichen Zugriffs auf S3-Buckets für alle Konten
- Verwaltung von Root-Anmeldedaten für Mitgliederkonten aktiviert
- Standardmäßige EBS-Volumenverschlüsselung wird überall erzwungen
Unternehmensweite Sicherheitsvorkehrungen mit Service Control Policies (SCPs)
Ein umfassendes Paket an Richtlinien zur Dienststeuerung bietet nun vorbeugende Sicherheitsvorkehrungen, darunter:
- Obligatorische Ressourcenkennzeichnung für die Kostenverrechnung
- Deaktivierung von IAM-Benutzern und Erstellung von Zugriffsschlüsseln (nur Identity Center)
- Regionsbeschränkungen auf zugelassene AWS-Regionen
- Schutz vor dem Abgang von Konten aus dem Unternehmen
- Löschschutz für CloudTrail, S3, DynamoDB und KMS
- Obligatorische Verschlüsselung für das Hochladen von S3-Objekten
- Funktionalität zur Kontosperrung bei Sicherheitsvorfällen
Diese Kontrollmaßnahmen verringern das Risiko und gewährleisten gleichzeitig einen einheitlichen Betriebsablauf.
Verbesserte Erkennung von Bedrohungen mit GuardDuty
GuardDuty wurde überarbeitet, um die neuesten AWS-APIs zu unterstützen, und um alle unterstützten Erkennungstypen zu umfassen:
- S3-Datenereignisse
- EKS-Prüfprotokolle
- EBS-Malware-Schutz
- RDS-Anmeldeereignisse
- Lambda-Netzwerkprotokolle
- Laufzeitüberwachung
Jede Erkennungsfunktion kann nun bedingt aktiviert oder deaktiviert werden, sodass Teams einen Ausgleich zwischen Erfassungsbereich und Kosten finden können.
Just-in-Time-Zugriff mit dem TEAM-Tool
Die Landing Zone enthält nun ein Just-In-Time-Zugriffstool (JIT), das als TEAM-Tool bekannt ist und im Sicherheitskonto bereitgestellt wird.
Zu den wichtigsten Funktionen gehören:
- Vordefinierte Gruppen für Antragsteller, Genehmiger und Administratoren
- Geplante Zeitfenster für künftige Zugangsanforderungen
- Vollständige Nachvollziehbarkeit von Zugriffsanfragen und Genehmigungen
Dadurch werden permanente Produktionszugriffe verhindert und das Prinzip der geringstmöglichen Berechtigungen von Grund auf durchgesetzt.
Zentrale Überwachbarkeit mit AWS OAM
Mithilfe des AWS Observability Access Manager (OAM) werden Protokolle und Metriken aus allen Konten nun im Konto „Logging & Auditing“ zentralisiert.
Dies ermöglicht:
- Zentrale Protokollsuche über CloudWatch Log Insights
- Organisationsweite Benachrichtigungen zu CloudWatch-Metriken
- Eine einheitliche operative Übersicht über alle Konten
Verbesserungen der Netzwerkverbindungen in verschiedenen Umgebungen
Überarbeitetes AWS Client VPN
AWS Managed Client VPN wurde überarbeitet, um eine effizientere Integration mit Transit Gateway zu ermöglichen. Ein einziger VPN-Endpunkt bietet nun Zugriff auf Entwicklungs-, Staging- und Produktionsumgebungen, wobei der Zugriff über Gruppen und SSO im Identity Center gesteuert wird.
Alternative Netzwerkoptionen
Zu den neuen Optionen gehören:
- Vereinfachte VPC-Bereitstellungen pro Konto (Hochverfügbarkeit über 3 Verfügbarkeitszonen)
- Automatisiertes VPC-Peering
- WireGuard-VPN hinter einem NLB
- Unterstützung für Shared-Services-VPCs
Verbesserungen bei DNS und Route 53
Zu den Neuerungen gehören:
- Verbundene DNS-Zonen über verschiedene Umgebungen hinweg
- Protokollierung von Route-53-Resolver-Abfragen pro VPC
- Optionale Protokollierung von DNS-Abfragen und -Antworten
- Aktualisierte Diagramme und Dokumentation
Betriebliche Effizienz und Kostenoptimierung
Strategie für automatisierte Patches
Ein automatisiertes Skript prüft nun, ob neuere Versionen der Terraform-Module verfügbar sind, und erstellt Update-Berichte, wodurch die Wartung der Landing Zone vereinfacht wird.
Instanz-Scheduler
Automatisierte Start-/Stopp-Zeitpläne für EC2 und RDS tragen dazu bei, die Kosten außerhalb der Produktionsumgebung zu senken.
Automatische Fehlerbehebung
CloudWatch-Protokollgruppen mit unbegrenzter Aufbewahrungsdauer werden nun automatisch auf eine Aufbewahrungsrichtlinie von 365 Tagen umgestellt.
Zentralisierte Backup-Verwaltung
AWS Backup wird zentral über unternehmensweite Richtlinien verwaltet. Ressourcen können durch das Hinzufügen eines einfachen Tags automatisch gesichert werden.
Verbesserungen an der Plattform und den Tools
Zu den jüngsten Aktualisierungen auf Infrastrukturebene gehören:
- Integration mit AWS Control Tower
- Upgrade des Terraform-AWS-Providers auf Version 6
- Die Speicherung des Terraform-Zustands wurde auf S3 verlagert
- GitHub-basierte Terraform-Modul-Repositorys
- GitHub-OIDC-Integration für die Rollenübernahme
- Verbesserte Dokumentation, Diagramme und Unterlagen für die Kundenübergabe
Wie geht es weiter mit der ITGix AWS Landing Zone?
Mit jedem neuen Release rückt die ITGix AWS Landing Zone einer vollständig selbstbedienbaren und konformitätsfähigen Cloud-Plattform einen Schritt näher.
Zu den nächsten Punkten auf der Roadmap gehören:
- Selbstbedienungsportal für Client-VPN
- IPAM-Integration
- IPv6-Unterstützung
- Erweiterte Abdeckung in mehreren Regionen
Wenn Ihr Unternehmen seine AWS-Einführung auf einer sicheren und skalierbaren Grundlage beschleunigen möchte, wenden Sie sich an unser Team, um zu erfahren, wie die ITGix AWS Landing Zone Ihnen dabei helfen kann.
